AI-детекція підозрілих транзакцій

Вступ: чому класичних правил вже недостатньо

Фрод і зловживання еволюціонують швидше, ніж списки правил. З'являються ферми акаунтів, схеми структурування, «мули», арбітраж по затримках, chargeback-атаки. AI-детекція доповнює правила моделями, тайм-серіями і графами, щоб розпізнавати нове, знижувати помилкові спрацьовування і прискорювати чесні виплати. Критично: рішення повинні бути зрозумілими, а обробка - відповідати вимогам приватності і регуляторів.

1) Дані: що потрібно бачити системі

Платіжні події: депозит/висновок, метод (картка, гаманець, банківський переказ), сума, валюта, комісія, статус, ретраї, chargeback/диспут.

Контекст пристрою та сесії: відбиток браузера/девайса, ОС, мережа/проксі, локація (згода!), поведінкові таймінги.

Профіль облікового запису: KYC/AML-статус, ліміти, історія методів, вік облікового запису, довірені пристрої.

Ігрові/торгові сигнали: темп ставок/раундів, TTFP/hit-rate (для інтерпретації «успішності»), скасування висновків.

Маркетинг і бонуси: купони, умови відіграшу, частота активацій.

Зовнішні довідники: BIN-таблиці, санкційні/РЕР-листи, геориски, репутація IP/номерів.

Принципи: єдиний event bus, ідемпотентність, точні таймстампи, токенізація PII, зберігання по мінімуму.

2) Фічі: як кодувати «підозрілість»

Часові ряди: частота транзакцій по вікнах (30с/5м/1ч/1д), ритм «депозит → виведення», сплески нічної активності.

Структурування сум: повторні транзакції трохи нижче лімітів KYC/AML, дроблення депозитів/висновків.

Консистентність гео/методу: karta≠IP≠geo, швидкі зміни країн/пристроїв, проксі-діапазони.

Поведінкова біометрія: стабільність таймінгів, аномально рівні інтервали кліків (бот-ризики).

Граф зв'язків: загальні пристрої/IP/карти/гаманці/реферали → спільноти, мости, «мули».

Репутація методу: новий метод з високим історичним chargeback-rate; «ротація» методів за короткий час.

Контекст продукту: скасування виведення заради нового депозиту, імпульсивні овербети - важливо не змішувати з фродом (це RG-сигнали).

Онлайн-фічі лежать в online feature store для скорингу з малою затримкою.

3) Моделі: від правил до графів і послідовностей

Rules-as-Code: гео/вік/ліміти, списки ризику, «жорсткі» заборони провайдерів/країн, базові редлайни сум.

Unsupervised аномалістика: isolation forest, autoencoder, One-Class SVM за вектором фіч вікна (частота, суми, гео, методи).

Supervised-скоринг: GBDT/логрег по розміченим інцидентам (chargeback, бонус-аб'юз, аккаунт-тейковер). Основні метрики - PR-AUC, precision @k.

Графові моделі: пошук спільнот (Louvain/Leiden), центральності, link prediction для «мультиаккаунтинга» і кілець виведення.

Sequence-моделі: RNN/Transformer для патернів «депозит-стрибок-вивід», скриптових «прогоночних» сценаріїв.

Калібрування ймовірностей: Platt/Isotonic, щоб швидкий був калібрований на відкладених періодах/ринках.

XAI-шар: SHAP/правила-сюррогати - короткі причини рішень для саппорту і регулятора.

4) Оркестратор рішень: «зелений/жовтий/червоний»

На кожну транзакцію система агрегує правила + скоринги і вибирає сценарій:

Зелений (низький ризик): миттєве підтвердження, інстант-виведення при збігаються профілях, прозорий статус.
Жовтий (сумнів): м'яка 2FA, підтвердження методу/володіння, запит уточнень, капінг суми, відкладений висновок до верифікації.
Червоний (високий ризик): пауза транзакції, заморожування бонусів, HITL-перевірка, розширений граф-аналіз, повідомлення AML.

Кожне рішення потрапляє в audit trail (вхідні фічі, версії моделей, пороги, застосовані правила).

5) Типові схеми і реакція системи

Структурування під ліміти KYC: серія депозитів/висновків трохи нижче порога → жовтий, каппінг, KYC-поглиблення.

Кільця «мулів»: десятки акаунтів із загальними пристроями/гаманцями → червоний, фриз коштів, розслідування графом.

Аккаунт-тейковер: нова гео/пристрій + додавання нового методу + різкий вивід → червоний, примусова зміна пароля, підтвердження володіння, відкат.

Бонус-ферма: масова активація купона з одного діапазону IP → жовтий/червоний, фриз промо, перевірка KYC.

Чесний великий виграш → висновок: EVT по грі/ринку в нормі, зв'язків немає → зелений, інстант-виплата і публічний пруф чесності.

6) Платіжний оркестратор: швидкість чесних і безпека сумнівних

Смарт-маршрутизація: вибір провайдера по ризику, країні, сумі, ETA і комісіям.

Динамічні ліміти: підвищені для «зелених» профілів, знижені/поштучна перевірка при ризику.

Ретраї без тертя: автоматичне перемикання провайдера при тимчасових збоях.

Прозорі статуси: «миттєво/потрібна перевірка/ручна верифікація» + ETA і причина кроку.

7) Приватність і справедливість

Згоди по шарах: явні тумблери на поведінкові/технічні сигнали.

Мінімізація PII: токенізація, зберігання тільки необхідного, доступ за принципом найменших прав.

Федеративне навчання: моделі навчаються на агрегатах; сирі дані користувача не залишають регіон.

Fairness-контролі: моніторинг зміщення по ринках/пристроях/каналах; заборона дискримінаційних ознак.

RG-межі: поведінкові ризики (перегрів) → дбайливі заходи (ліміти/паузи/Focus), не санкції.

8) Метрики, які дійсно важливі

PR-AUC/precision @k/recall @k на розмічених фрод-кейсах.

FPR по «зеленим» профілям: частка помилково затриманих чесних транзакцій.

IFR (Instant Fulfillment Rate): частка чесних депозитів/висновків «без тертя».

TTD/MTTM: час виявлення/пом'якшення інциденту.

Chargeback rate / recovery: динаміка чарджбеків і повернень після впровадження.

Graph-lift: внесок графових ознак у детект.

NPS довіри: до статусів і пояснень у клієнтів/партнерів.

9) Референс-архітектура рішення

Event Bus → Stream Aggregator → Online Feature Store → Scoring API (rules + ML + графи) → Decision Engine (зел ./жовт ./червон.) → Action Hub (виплата/пауза/верифікація/повідомлення)

Паралельно: Graph Service, Payment Orchestrator, XAI/Compliance Hub (логи, звіти, версії), Observability (метрики/трейси/альберти).

10) MLOps і надійність

Версіонування даних/фіч/моделей/порогів; reproducibility и lineage.

Моніторинг дрифту розподілів і калібрування; тіньові прогони, швидкий rollback.

Хаос-інжиніринг даних: пропуски/дублікати/затримки → graceful-деградація, не відмова.

Пісочниці для аудиторів: реплей історичних потоків і перевірка детектора.

Фіч-прапори за юрисдикціями: різні пороги/процедури, звітні формати.

11) Дорожня карта впровадження (6-9 місяців)

Місяці 1-2: єдиний event bus, rules-as-code, online feature store, статуси транзакцій для клієнта.

Місяці 3-4: unsupervised аномалістика, supervised-скоринги, Decision Engine "зел ./жовт ./красн. ", XAI-панель.

Місяці 5-6: граф-сервіс (спільноти/зв'язки), інтеграція з платіжним оркестратором, автокапінг сум.

Місяці 7-9: калібрування на ринках, федеративне навчання, хаос-тести, пісочниці для регулятора, оптимізація IFR/TTD/MTTM.

12) Часті помилки і як їх уникнути

Карати «за розміром суми». Сума сама по собі ≠ ризик; важливі форма і контекст.

Ігнорувати граф. Індивідуальні скоринги пропускають ферми і мости.

Гнатися за 0% FPR. Надмірні пороги вбивають швидкість виплат і довіру.

Змішувати RG і фрод. Поведінкову тривогу лікують лімітами/паузами, не банами.

Без XAI. Незрозумілі затримки народжують скарги і штрафи.

Крихка інфраструктура. Немає фіч-прапорів/rollback - значить неминучі простої при змінах.

AI-детекція підозрілих транзакцій - це інженерний контур довіри. Він поєднує правила, моделі і графи, пояснює рішення і поважає приватність, прискорюючи при цьому чесні операції. Перемагають ті, хто вибудує швидкість (low-latency скоринг), точність (PR-AUC, графи), прозорість (XAI, статуси) і етику (RG, fairness) в одній архітектурі - тоді кожна транзакція стає передбачувано безпечною для всіх сторін.